Безопасность 23 октября 2026, 16:45 МСК

pnpm, uv, Hex и rustup закрыли уязвимости цепочки поставок, GitHub запустил package firewall для npm

За 19–23 октября pnpm исправил обход правил запуска сборочных скриптов, uv, Hex и rustup отозвали доверие к сертификатам eMudhra, а GitHub открыл предпросмотр package firewall.

pnpm 12.15, вышедший 21 октября, отклоняет метаданные, если имя пакета в ответе реестра не совпадает с запрошенным: установка завершается ошибкой ERR_PNPM_REGISTRY_NAME_MISMATCH. Раньше пакет ставился под именем из ответа, и правила allowBuilds к нему не применялись. Исправление есть и в ветке 11 (11.28.7). Также добавлена настройка maxTarballUnpackedSize, ограничивающая размер распакованного пакета, по умолчанию 4 ГиБ.

После компрометации промежуточных центров сертификации eMudhra 20 октября вышли uv 0.13.4, Hex 2.5.4 и rustup 1.29.2. Эти инструменты используют собственные наборы доверенных сертификатов, поэтому обновлять их нужно отдельно от браузера. В uv удалён корневой сертификат emSign ECC Root CA - G3, Hex перестал доверять трём корневым сертификатам emSign, а rustup обновил зависимости проверки. Если в uv используется системное хранилище (--system-certs) или пользовательские SSL_CERT_FILE и SSL_CERT_DIR, нужно убедиться, что оно тоже не доверяет скомпрометированной цепочке.

20 октября GitHub запустил публичный предпросмотр package firewall для GitHub Enterprise Cloud — прокси между рабочей станцией или CI и реестром npm. Администратор может задать минимальный возраст версии, проверки по GitHub Advisory Database и контроль изменений в подтверждениях происхождения пакета. Политика действует, только если клиенты ходят через firewall. Пока поддерживается лишь npm; на время предпросмотра сервис бесплатен, после общего запуска GitHub планирует оплату по использованию.

• pnpm 12.15 и 11.28.7: проверка имени пакета в ответе реестра
• uv 0.13.4, Hex 2.5.4, rustup 1.29.2 — после инцидента eMudhra
• Package firewall GitHub: только npm, пока бесплатно